Mitigasi Risiko: Membangun Alur Persetujuan Berjenjang

Mitigasi risiko adalah tindakan yang direncanakan untuk menurunkan kemungkinan atau dampak sebuah risiko sampai ke tingkat yang bisa diterima perusahaan. Rencana mitigasi yang baik selalu punya penanggung jawab, tenggat, dan bukti penyelesaian. Agar rencana itu tidak berhenti sebagai daftar niat, banyak perusahaan memakai alur persetujuan berjenjang: rencana diajukan oleh pemilik risiko, ditinjau fungsi manajemen risiko, lalu disetujui pejabat yang berwenang sesuai tingkat risikonya.

Tanpa alur yang jelas, mitigasi sering tertahan di dua titik. Pertama, rencana disusun tetapi tidak pernah disetujui secara resmi, sehingga tidak ada yang merasa wajib menjalankannya. Kedua, rencana sudah disetujui tetapi progresnya tidak dipantau, sehingga tenggat terlewat tanpa ada yang menyadari. Artikel ini membahas isi rencana mitigasi risiko, cara merancang alur persetujuannya, dan cara memastikan tindak lanjutnya berjalan.

Pilihan Strategi Mitigasi Risiko

Sebelum menyusun rencana, pemilik risiko perlu memilih strategi penanganannya. Pilihan yang umum dipakai adalah:

• Menghindari risiko, yaitu tidak menjalankan kegiatan yang menimbulkan risiko tersebut.
• Mengurangi risiko, dengan menambah atau memperkuat pengendalian agar kemungkinan atau dampaknya turun.
• Mengalihkan atau berbagi risiko, misalnya melalui asuransi atau perjanjian dengan pihak ketiga.
• Menerima risiko, dengan keputusan sadar bahwa tingkat risikonya masih dalam batas yang bisa ditoleransi.

Strategi menerima risiko juga perlu persetujuan. Justru keputusan ini yang paling penting dicatat, karena perusahaan secara resmi memilih untuk tidak menambah pengendalian. Jika kelak risiko tersebut terjadi, catatan persetujuan menunjukkan bahwa keputusan diambil dengan pertimbangan, bukan karena kelalaian.

Isi Rencana Mitigasi Risiko yang Lengkap

Rencana mitigasi yang bisa dipantau biasanya memuat informasi berikut:

• Risiko yang ditangani, merujuk langsung ke risiko di register.
• Strategi yang dipilih dan alasannya.
• Uraian tindakan yang konkret. "Memperbaiki prosedur" terlalu umum. "Menambah verifikasi kedua untuk pembayaran di atas batas tertentu" lebih mudah dijalankan dan diperiksa.
• Penanggung jawab atau person in charge (PIC), yaitu satu nama yang bertanggung jawab atas penyelesaian.
• Tenggat penyelesaian, dan jika perlu, tahapan antara.
• Target tingkat risiko setelah mitigasi selesai.
• Bukti penyelesaian yang akan dilampirkan, misalnya dokumen prosedur baru atau laporan pelatihan.

Target tingkat risiko membantu menilai apakah mitigasi sudah cukup. Konsep risiko inheren, residual, dan target kami jelaskan di artikel cara membuat matriks risiko.

Merancang Alur Persetujuan Mitigasi Risiko Berjenjang

Alur persetujuan berjenjang memastikan setiap rencana ditinjau oleh orang yang paham konteksnya dan disahkan oleh orang yang punya wewenang. Pola yang sering dipakai:

1. Pengajuan oleh pemilik risiko di unit kerja, lengkap dengan tindakan, PIC, dan tenggat.
2. Persetujuan atasan unit, yang memastikan tindakan realistis dan sumber dayanya tersedia.
3. Tinjauan fungsi manajemen risiko, yang menilai apakah tindakan benar-benar menyasar penyebab risiko dan apakah target tingkat risikonya masuk akal.
4. Persetujuan manajemen untuk risiko dengan tingkat tinggi atau sangat tinggi, atau untuk keputusan menerima risiko di atas batas toleransi.

Jenjang persetujuan sebaiknya tidak sama untuk semua risiko. Risiko rendah cukup disetujui atasan unit. Risiko sangat tinggi perlu sampai ke manajemen puncak. Aturan seperti ini mencegah direksi tenggelam dalam persetujuan untuk hal-hal kecil, sekaligus memastikan keputusan besar tidak lolos tanpa pengawasan.

Setiap jenjang juga perlu pilihan selain menyetujui. Peninjau bisa mengembalikan rencana dengan catatan perbaikan atau menolaknya. Riwayat catatan ini berguna bagi auditor dan bagi pemilik risiko sendiri. Prinsip desain alur persetujuan internal secara umum kami bahas di artikel sistem approval internal untuk operasional perusahaan.

Memantau Progres Setelah Disetujui

Persetujuan hanyalah awal. Tantangan sesungguhnya ada pada pelaksanaan. Beberapa praktik yang membantu:

• PIC memperbarui status secara berkala, misalnya belum dimulai, berjalan, atau selesai, disertai catatan singkat.
• Pengingat dikirim menjelang tenggat, bukan hanya setelah tenggat terlewat.
• Mitigasi yang terlambat dieskalasi ke atasan PIC dan fungsi manajemen risiko.
• Perubahan tenggat harus diajukan dan disetujui, tidak cukup diubah sepihak.
• Status selesai baru diterima setelah bukti dilampirkan dan diverifikasi.

Setelah mitigasi selesai, risiko di register perlu dinilai ulang. Jika tingkat residualnya turun sesuai target, mitigasi dianggap efektif. Jika tidak, berarti tindakannya perlu dievaluasi.

Contoh Alur Mitigasi untuk Satu Risiko

Agar lebih konkret, bayangkan sebuah risiko di register berbunyi "pembayaran ke pemasok dilakukan ganda karena tagihan yang sama diproses dua kali". Penilaian residualnya berada di zona tinggi karena pengecekan tagihan masih manual.

Kepala bagian keuangan sebagai pemilik risiko mengajukan rencana mitigasi dengan strategi mengurangi risiko. Tindakannya adalah menambah pemeriksaan nomor tagihan yang sama sebelum pembayaran diproses, serta mewajibkan persetujuan kedua untuk pembayaran di atas batas yang ditetapkan perusahaan. Ia menunjuk satu staf senior sebagai PIC, menetapkan tenggat, dan mencantumkan target tingkat risiko sedang.

Atasannya menyetujui karena sumber dayanya tersedia. Fungsi manajemen risiko meninjau dan memberi catatan bahwa prosedur tertulis juga perlu diperbarui agar pengendalian baru tidak bergantung pada satu orang. Rencana dikembalikan, diperbaiki, lalu disetujui. Karena tingkat risikonya tinggi, persetujuan akhir diberikan oleh direktur keuangan.

Selama pelaksanaan, PIC memperbarui status setiap kali ada tahapan yang selesai. Setelah prosedur baru berlaku dan buktinya dilampirkan, fungsi manajemen risiko memverifikasi, lalu pemilik risiko menilai ulang risiko tersebut. Riwayat lengkap dari pengajuan sampai penilaian ulang tersimpan di satu tempat dan bisa ditelusuri kapan saja.

Kesalahan yang Membuat Mitigasi Risiko Macet

• Satu rencana punya beberapa PIC, sehingga masing-masing mengira yang lain sedang mengerjakannya.
• Tenggat ditetapkan tanpa mempertimbangkan beban kerja PIC.
• Alur persetujuan terlalu panjang untuk risiko kecil, sehingga pemilik risiko enggan mengajukan rencana.
• Persetujuan dilakukan lewat email atau pesan singkat yang tidak terhubung ke register.
• Status selesai diterima tanpa bukti.

Alur Mitigasi dalam Sistem yang Kami Bangun

Pada sistem manajemen risiko yang Merbabudev bangun untuk klien korporasi, rencana mitigasi dibuat langsung dari risiko di register. Setiap rencana memiliki PIC dan tenggat, lalu berjalan melalui alur persetujuan berjenjang sebelum resmi berlaku. Statusnya bisa dipantau oleh pemilik risiko, fungsi manajemen risiko, dan manajemen, sehingga mitigasi yang tertunda terlihat tanpa harus menunggu rapat. Karena rencana dan risikonya tersimpan di tempat yang sama, riwayat persetujuan juga bisa ditelusuri auditor dari halaman risiko.

Gambaran lengkap fitur sistem tersebut ada di artikel sistem manajemen risiko perusahaan.

Pertanyaan yang Sering Diajukan

Apa bedanya mitigasi risiko dan pengendalian risiko?

Pengendalian adalah mekanisme yang sudah berjalan untuk mengelola risiko, misalnya prosedur verifikasi. Mitigasi adalah tindakan tambahan yang direncanakan ketika pengendalian yang ada belum cukup menurunkan risiko ke tingkat yang diinginkan. Setelah mitigasi selesai, hasilnya sering menjadi pengendalian baru.

Apakah semua risiko wajib punya rencana mitigasi?

Tidak selalu. Risiko yang tingkat residualnya sudah dalam batas toleransi bisa diterima dan cukup dipantau. Yang penting, keputusan menerima risiko tersebut tercatat dan disetujui sesuai kewenangan.

Bagaimana jika tenggat mitigasi tidak realistis?

PIC sebaiknya mengajukan perubahan tenggat beserta alasannya melalui alur persetujuan yang sama. Dengan cara ini, perubahan tercatat dan atasan bisa menilai apakah perlu tambahan sumber daya atau penyesuaian prioritas.